Das Informatikschutzobjekt muss vor der ersten Inbetriebnahme so konfiguriert und eingestellt sein, dass

1. es vor unberechtigtem Zugriff geschützt ist,
2. es soweit technisch möglich gehärtet ist und in einer zur Aufgabenerfüllung erforderlichen und vom Benutzer nicht veränderbaren Minimalkonfiguration betrieben wird (d. h. nicht genutzte Schnittstellen, Module und Funktionen müssen deaktiviert sein), und
3. wichtige sicherheitsrelevante Aktivitäten und Ereignisse (mit Zeitangaben) aufgezeichnet und zeitnah ausgewertet werden.